早上起来就见几个微信群在传@lsp8940遭遇假zoom链接被盗1M usd（https://x.com/lsp8940/status/1871350801270296709），这让我想起18号我也遇到了类似的事，当时是一个老外私信我要合作，沟通了几次时间，然后约到晚上9点zoom会议里聊，到时间后老外给我发了一个会议室的链接，如下https://app.us4zoom.us/j/8083344643?pwd=seyuvstpldar6ugeEtcGGury936qBCQr#success（重要提示，这是个钓鱼链接，不要点击！不要点击！不要点击！）当时我看到这个链接后有些奇怪，这个域名是us4zoom，看着有些不正规，但是我之前没用过zoom也就不太确定，然后我就去google搜索和perplexity上查询，发现官网是zoom.us，和骗子给的域名对不上。骗子给的链接会让下载一个安装包，下载完的文件有些小，和正常的安装包大小相差太多，如下当打开假zoom安装包时就会发现一个明显的问题，正常的软件安装是基本是让你一路点“继续”，然后安装就结束了，比如真的zoom安装包安装时界面如图假zoom安装包的安装界面如下这是什么鬼，为什么要让我们把Zoom.file这个文件拖到终端里执行，这明显就有问题，我当时就用文本编辑器把Zoom.file打开，发现里面是一个bash的脚本，但是内容我完全看不懂，看着像是被加密了。不过也不怕，我当时就把整个内容扔给了gpt，让gpt帮我分析这个脚本gpt告诉我这段代码被base64编码隐藏了，解码后发现这个脚本的主要作用就是从安装包中把木马文件.ZoomApp复制到/tmp目录中执行。这个木马文件因为被隐藏了，默认情况下是看不到的。对这个木马文件的分析就超出了我的能力啦，gpt也没法给出实际的帮助，这部分的分析需要专业的安全人员接力。不过可以猜测这个木马会扫描关键的文件进行上传，比如浏览器中插件钱包的本地文件，记得21年是可以根据metamask的本地文件恢复出私钥，前提是知道设置的密码或者暴力破解。通过这次事件我们可以得出几个结论：1、骗子是在广泛撒网，@cutepandaweb3今天也发推说遇到同样的骗局。2、这是同一个骗子，通过@lsp8940的复盘推文可以知道我俩收到的假zoom会议链接完全一样。https://x.com/lsp8940/status/18714260714991006303、推特上陌生人的私信要慎重，特别是这个陌生人没有发过推文，你的共同好友没有关注过他。4、浏览器的插件钱包密码尽量设置复杂些，这样当浏览器的插件文件被泄露时也能增加被破解的难度。安全无小事，希望大家都不要踩坑。
